לפי הרשומה, כל גרסה של Zammad, עד האלפא האחרונה, מאפשרת לחשבון המקומי שמריץ את התוכנה להסלים את הרשאותיו ל-root. הציון הוא 9.4 מתוך 10, ב-2 באוקטובר 2026 נכנסה החולשה לקטלוג החולשות המנוצלות של CISA, ועדיין אין גרסה שסוגרת אותה.

מה החולשה?

במערכות לינוקס תוכנת שרת אינה רצה בהרשאות המלאות של המכונה. היא מקבלת חשבון משל עצמה, מוגבל למה שהיא צריכה, וכך באג בתוכנה אינו הופך מיד לשליטה בכל המכונה. החשבון בעל ההרשאות המלאות נקרא root, והמרחק בין חשבון השירות לבינו הוא כל ההגנה שהסידור הזה מספק.

הרשומה קובעת שהמרחק הזה אינו קיים כאן. החשבון המקומי בשם zammad יכול להסלים ל-root. הסיווג הוא CWE-269, ניהול שגוי של הרשאות, כלומר הבעיה אינה באג בזיכרון ואינה שבירה של הצפנה אלא ההרשאות עצמן, שהוגדרו רחבות ממה שנדרש.

מה זה שווה לתוקף? לא את הכניסה הראשונה. חולשה כזאת אינה פותחת את הדלת, היא מרחיבה את מה שמי שכבר בפנים יכול לעשות: מחשבון שמוגבל לתוכנה אחת אל שליטה מלאה במכונה, ובכלל זה בכל מה שיושב עליה.

נקודה אחת ברשומה דורשת זהירות. הטקסט מתאר הסלמה מחשבון מקומי, אבל וקטור הדירוג שפורסם לצידו מסמן גם גישה מהרשת. השניים אינם מסתדרים זה עם זה במדויק, ובמקרה כזה התיאור המילולי הוא הנתון הברור יותר.

מי מושפע?

הרשומה מציינת את הטווח מגרסה 1.5.0 ועד 7.1.0, ואת 7.1.0 עצמה, והטקסט מרחיב וקובע שכל הגרסאות חשופות, כולל האלפא האחרונה. כלומר אין כרגע גרסה בטוחה לעבור אליה, וזה הנתון שקובע את כל שאר הדף.

הרשומה מסמנת גם Docker, ולכן התקנה שרצה בתוך container אינה יוצאת מהכלל.

מי שאינו מפעיל שרת Zammad אינו מושפע. מי שכן מפעיל, השאלה המעשית אינה איזו גרסה יש לו אלא מי יכול להריץ קוד על המכונה הזאת.

האם מנוצלת בפועל?

כן. ב-2 באוקטובר 2026 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע כי הן מופעלות בשטח. התאריך שנקבע לגופים הפדרליים לטיפול הוא 5 באוקטובר 2026, שלושה ימים אחר כך.

גם הדירוג עצמו מסמן את זה. בגרסה 4.0 של תקן ה-CVSS יש שדה שמתאר את מצב הניצול של החולשה, וכאן הוא מסומן כמנוצלת.

את הפרטים פרסם צוות התגובה ההולנדי DIVD CSIRT, במסגרת בדיקה רחבה יותר שהוא מתעד בנפרד.

מה עושים?

אין כאן עדכון להתקין, ולכן העבודה כולה היא הכלה.

1. התייחסו למכונה שמריצה את Zammad כאל מכונה שהחולשה נתונה בה. מכאן הכלל המעשי: אל תריצו עליה שירותים נוספים, ואל תחזיקו עליה פרטי אימות או מפתחות שמשמשים מערכות אחרות. הסלמה ל-root נותנת לתוקף את כל מה שיושב על אותה מכונה, לא רק את התוכנה שהחולשה בה.
2. צמצמו מי יכול להריץ קוד על המכונה. זה כולל גישת shell, חשבונות תחזוקה, וכל רכיב חיצוני שמותר לו להפעיל שם פקודות.
3. מי שמריץ את התוכנה בתוך container, אל תסמכו על הבידוד הזה כפתרון. הרשומה מסמנת את Docker כחלק מהמושפעים ולא כמעקף.
4. עקבו אחרי העמוד של DIVD ואחרי הודעות היצרן. ברגע שתפורסם גרסה שסוגרת, היא תופיע שם, וההתקנה שלה היא הפעולה היחידה שתסיים את העניין.